CVE-2024-45537 in Druid
要約
〜によって VulDB • 2026年06月06日
Apache Druidでは、特定の権限を持つユーザーがJDBCを使用して他のデータベースシステムからデータを読み取ることができます。この機能により、信頼されたユーザーはDruidのルックアップを設定したり、取り込みタスクを実行したりできます。また、Drudm管理者は、ユーザーがJDBC接続で提供できる許可プロパティの一覧を構成することも可能です。デフォルトでは、この許可リストにはTLS関連のプロパティのみが含まれています。しかし、MySQL JDBC接続を構成する際、ユーザーはこの許可リストに含まれていないプロパティを提供するために特別に作成されたJDBC接続文字列を使用することができます。
JDBC接続の構成権限を持たないユーザーは、この脆弱性を悪用できません。 CVE-2021-26919には類似した脆弱性が記載されており、Apache Druid 0.20.2で部分的に対処されました。
本問題はApache Druid 30.0.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.